ActionTrail:Entregar eventos de várias contas da Alibaba Cloud para uma conta central

Informações de fundo

O recurso de entrega de eventos entre contas do ActionTrail envolve contas de source e uma conta de destino.

Quando a conta de destino e as contas de source são contas independentes da Alibaba Cloud sem relação organizacional, é necessário criar uma trilha de conta única separada para cada conta de source. O procedimento a seguir usa como exemplo a conta A e a conta B da Alibaba Cloud (contas de source) entregando eventos para a conta C da Alibaba Cloud (conta de destino).

Procedimento

1. Na conta C da Alibaba Cloud, crie uma função do RAM e conceda permissões ao ActionTrail para entregar eventos nessa conta.

   1. Faça login no console do RAM com a conta C da Alibaba Cloud.

   2. Anexe a política de sistema AliyunActionTrailDeliveryPolicy à função ActionTrailDeliveryRole.

      1. Clique em ActionTrailDeliveryRole.

      2. Clique em Input and Attach.

      3. Selecione System Policy e defina o nome da política como AliyunActionTrailDeliveryPolicy.

      4. Clique em Confirm e, em seguida, clique em Close.

      Nota

      As políticas compatíveis estão listadas em System permission policies for event delivery.

   3. Modifique a política de confiança da função do RAM. Altere o campo Service para o formato Alibaba Cloud account ID@actiontrail.aliyuncs.com.

      Por exemplo, se o ID da conta A da Alibaba Cloud for 159498693825**** e o ID da conta B for 123435555956****, altere actiontrail.aliyuncs.com no campo Service para ["159498693825****@actiontrail.aliyuncs.com","123435555956****@actiontrail.aliyuncs.com"]. Essa alteração permite que o service ActionTrail na conta A (159498693825****) e na conta B (123435555956****) da Alibaba Cloud assumam a função do RAM.

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "159498693825****@actiontrail.aliyuncs.com",
                          "123435555956****@actiontrail.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

      Para mais informações, consulte Modify the trust policy of a RAM role.

2. Na conta C da Alibaba Cloud, crie um projeto do Simple Log Service, um bucket do OSS ou um projeto do MaxCompute.

   Para mais informações, consulte Create a project, Create a bucket e Create a project.

   Nota

   O nome do projeto do MaxCompute deve começar com actiontrail_.

   Para garantir a segurança dos dados, recomendamos ativar a criptografia no lado do servidor e configurar uma política de retenção ao criar o bucket do OSS. Para mais informações, consulte Server-side encryption e Configure a retention policy.

3. Na conta A da Alibaba Cloud, crie uma trilha de conta única e defina o destino de entrega como o projeto do Simple Log Service, o bucket do OSS ou o projeto do MaxCompute criado na Etapa 2.

   1. Faça login no console do ActionTrail com a conta A da Alibaba Cloud.

   2. No painel de navegação à esquerda, clique em Trails.

   3. Na barra de navegação superior, selecione a região onde deseja criar a trilha de conta única.

      Nota

      Essa região torna-se a região home da trilha de conta única.

   4. Na página Trails, clique em Create Trail.

   5. Na página Create Trail, configure os parâmetros da trilha.

      • Na seção Basic Information, defina o nome da trilha e o tipo de evento de gerenciamento.

        Nota

        Por padrão, a trilha aplica-se a todas as regiões. Recomendamos definir Management Event como All Events para capturar todos os eventos de todas as regiões. Para obter mais detalhes sobre os parâmetros, consulte Create a single-account trail.

      • Na seção Event Delivery, escolha entregar eventos para o Simple Log Service, OSS ou MaxCompute. É possível entregar eventos para um ou mais services. Para orientações sobre como escolher um service de armazenamento, consulte Deliver events to specified Alibaba Cloud services.

        • Selecione Delivery to Log Service, marque Delivery to Another Account e configure os seguintes parâmetros.

          Parâmetro	Descrição
          Log Service Project ARN	Insira a região do projeto, o ID da conta C da Alibaba Cloud (conta de destino) e o nome do projeto. O nome do projeto corresponde ao projeto criado na Etapa 2.
          RAM Role ARN of Destination Account	Insira o ID da conta C da Alibaba Cloud (conta de destino) e o nome da função. O nome da função refere-se à função do RAM criada na Etapa 1. Neste exemplo, o nome da função é ActionTrailDeliveryRole.

        • Selecione Delivery to OSS, marque Delivery to Another Account e configure os parâmetros abaixo.

          Parâmetro	Descrição
          RAM Role ARN of OSS Bucket	Insira o ID da conta C da Alibaba Cloud (conta de destino) e o nome da função. O nome da função refere-se à função do RAM criada na Etapa 1. Neste exemplo, o nome da função é ActionTrailDeliveryRole.
          Bucket Name	Insira o nome do bucket criado na Etapa 2.
          Log File Prefix	Insira um prefixo para os arquivos de log de eventos.

        • Selecione Delivery to MaxCompute, marque Delivery to Another Account e configure os parâmetros a seguir.

          Parâmetro	Descrição
          RAM Role ARN of MaxCompute	Insira o ID da conta de destino e o nome da função. O nome da função refere-se à função do RAM criada na Etapa 1. Neste exemplo, o nome da função é ActionTrailDeliveryRole.
          Project ARN	Insira a região do projeto do MaxCompute, o ID da conta de destino e o nome do projeto do MaxCompute. O nome do projeto corresponde ao projeto criado na Etapa 2.

   6. Clique em Confirm.

4. Repita estas etapas para a conta B da Alibaba Cloud para criar outra trilha de conta única que entregue eventos ao destino criado na Etapa 2.

Resultados

Após a criação das trilhas, use a conta C da Alibaba Cloud para visualizar eventos das contas A e B no projeto do Simple Log Service, no bucket do OSS ou no projeto do MaxCompute. Para mais informações, consulte Query and analyze logs e Real-time log query.

Operações relacionadas

• Caso precise migrar dados entre contas diferentes, consulte os seguintes tópicos:

  • Online data migration for OSS

  • Online data migration for Simple Log Service

• Para analisar detalhadamente os eventos entregues, consulte o seguinte tópico:

  Analyze operation events in Simple Log Service